KR101489102B1

KR101489102B1 - 안전한 전자 토큰의 동작을 분석하는 방법

Info

Publication number: KR101489102B1
Application number: KR1020137005973A
Authority: KR
Inventors: 올리비에 뻬리노
Original assignee: 제말토 에스에이
Priority date: 2010-09-10
Filing date: 2011-08-25
Publication date: 2015-02-02
Anticipated expiration: 2031-08-25
Also published as: EP2614456A1; EP2437195A1; US9053328B2; JP5468182B2; KR20130045920A; WO2012031905A1; US20130219494A1; JP2013536961A; EP2614456B1

Abstract

본 발명은 외부 엔티티와 데이터를 교환하기 위한 인터페이스를 포함하는 안전한 전자 토큰의 동작을 분석하는 방법이다. 토큰은, 토큰이 만들어진 다음 발행되도록 의도되는 라이프사이클을 갖는다. 방법은: - 전자 토큰이 발행된 후에 토큰에 전용 애플리케이션을 로드 및 설치하는 단계, - 인터페이스를 통해 교환된 데이터를 감시(spy)하고 이러한 교환된 데이터를 전용 애플리케이션에 제공하는 단계, - 전용 애플리케이션에 의해 교환된 데이터로부터 버퍼를 생성하는 단계, 및 - 버퍼를 외부 머신에 전송하는 단계를 포함한다.

Description

안전한 전자 토큰의 동작을 분석하는 방법{METHOD OF ANALYZING THE BEHAVIOR OF A SECURE ELECTRONIC TOKEN}

본 발명은 안전한 전자 토큰의 동작을 분석하는 방법에 관한 것이다. 특히, 안전한 전자 토큰의 착신 및 발신 데이터를 감사(audit)하는 방법에 관한 것이다.

전자 토큰은 제한된 자원을 갖는 휴대용 전자 기기이다. 일반적으로, 전자 토큰은 상이한 유형의 복수의 메모리를 포함한다. 예를 들어, 그들은 RAM, ROM, EEPROM 또는 플래시 유형의 메모리를 포함할 수 있다. 스마트 카드 및 특히 UICC(Universal Integrated Circuit Cards)는 안전한 전자 토큰이다. 안전한 전자 토큰은 보통 전력과 그래픽 사용자 인터페이스를 제공하는 호스트 머신에 접속된다.

일반적으로, 안전한 전자 토큰은, 토큰이 하나 또는 여러 단계를 통해 처음에 물리적으로 구축되는 보통의 라이프사이클을 따른다. 그 다음, 토큰의 비휘발성 메모리에 특정 운영 체제가 기록된다. 토큰의 사용 유형이 알려진 경우, 제1 세트의 개인화 데이터가 토큰에 다운로드될 수 있다. 최종-사용자가 알려진 경우, 제2 세트의 개인화 데이터가 토큰에 다운로드될 수 있다. 이러한 제2 세트는 최종-사용자의 요구에 따라 커스터마이즈(customize)된다. 그 다음, 토큰이 발행된다. 이러한 발행 단계 후에, 토큰은 새로운 애플리케이션, 새로운 애플리케이션 버전 또는 애플리케이션 데이터(applicative data)와 같은 추가 데이터로 업그레이드될 수 있다.

점점 더 복잡한 애플리케이션이 개발되어, 안전한 전자 토큰에 내장되고 있다. 이러한 애플리케이션은 뱅킹 서비스, 액세스 서비스, 게임, 또는 임의의 종류의 서비스에 전용일 수 있다. 일반적으로, 이러한 애플리케이션은 원격 애플리케이션 서버와 통신을 위해 설계된다. 때때로, 애플리케이션에는 그 유형이 크게 달라질 수 있는 여러 구성요소들이 수반된다. 예를 들어, 애플리케이션은 상이한 유형들의 원격 서버(distant servers), 상이한 원격 서버에 액세스하기 위한 상이한 네트워크, 상이한 통신 프로토콜 및 토큰이 접속되는 상이한 호스트 머신을 필요로 할 수 있다. 예를 들어, SIM 카드는 많은 유형의 휴대 전화와 함께 사용될 수 있고 지불 카드(payment card)는 다수의 상이한 지불 머신과 함께 사용될 수 있다.

배치 단계(deployment phase) 전에, 이러한 애플리케이션들은 테스트되고 검증(validated)된다. 불행하게도, 이러한 애플리케이션들의 예상하지 못한 동작들이 필드에서 발생할 수 있다. 이러한 예상하지 못한 동작들은, 애플리케이션들로의 버그들, 토큰의 운영 체제로의 버그들, 관여된 하드웨어 구성요소들의 비호환성(incompatibility), 서버들로의 버그들, 또는 심지어 최종-사용자의 비논리적 동작으로 인한 것일 수 있다.

안전한 전자 토큰이 필드에 배치될 때, 이러한 토큰의 동작에 대한 모니터링은 어렵다.

모니터링 데이터를 제공하기 위해 안전한 전자 토큰에서 명령 카운터를 모니터링하는 것이 알려져 있다. 명령 카운터 값을 얻음으로써, 토큰의 사용에 대한 분석이 수행될 수 있다. 그럼에도 불구하고, 이러한 카운터는 불충분 데이터를 제공할 수 있고, 분석은 이슈의 근본 원인을 검출하지 못할 수 있다. 토큰의 개인화 단계 전에 또는 그동안 명령 카운터 관리의 메커니즘이 초기화된다. 이러한 메커니즘은 동결되어(frozen) 특정한 이슈에 적응될 수 없다.

필드에서 토큰에 대한 이슈가 검출되면, 분석은 관여된 모든 구성요소들과 관련된 정보의 피스들을 가질 필요가 있다. 많은 경우에, 이러한 구성요소들: 서버 애플리케이션, 토큰 애플리케이션, 토큰 운영 체제, 사용자의 동작, 호스트 머신 동작 및 네트워크 동작에 대해 유일한 추정들(suppositions)이 수행될 수 있다. 따라서, 조사는 필시 매우 힘들게 되고, 비용과 시간 소모가 크게 될 수 있다.

그 결과, 안전한 전자 토큰에 의해 제공될 수 있는 모니터링 데이터를 커스터마이즈할 수 있을 필요가 있다. 특히, 토큰이 발행되고 필드에 배치된 경우에도 커스터마이즈된 모니터링 데이터를 얻을 수 있는 것이 중요하다.

본 발명의 목적은 위에서 언급한 기술적인 문제들을 해결하는 것이다.

본 발명의 목적은 외부 엔티티와 데이터를 교환하기 위한 통신 인터페이스를 포함하는 안전한 전자 토큰의 동작을 분석하는 방법이다. 안전한 전자 토큰은, 안전한 전자 토큰이 만들어진 다음 발행되도록 의도된 라이프사이클을 갖는다. 방법은:

a) 안전한 전자 토큰에 전용 애플리케이션을 로딩 및 설치하는 단계,

b) 버퍼를 생성하는 단계,

c) 버퍼를 외부 머신에 전송하는 단계를 포함한다.

로딩 및 설치하는 단계는 안전한 전자 토큰이 발행된 후에 수행된다. 방법은:

d) 통신 인터페이스를 통해 교환된 데이터를 감시하고, 전용 애플리케이션에 교환된 데이터를 제공하는 단계를 포함한다. 버퍼는 교환된 데이터로부터 전용 애플리케이션에 의해 생성된다.

바람직하게는, 방법은, 안전한 전자 토큰이 사용되는 방법을 결정하기 위해 외부 머신의 버퍼를 분석하는 단계를 포함할 수 있다.

바람직한 실시예에서, 버퍼는 통신 인터페이스를 통해 교환된 데이터의 서브셋을 포함할 수 있다.

바람직하게는, 버퍼가 프리셋 임계값에 도달할 때 버퍼를 전송하는 단계가 자동으로 시작될 수 있다.

바람직한 실시예에서, 감시하는 단계는, 전용 애플리케이션이 안전한 전자 토큰에 로드되거나 설치될 때 자동으로 활성화되는 특정 수단에 의해 수행될 수 있다.

하나의 실시예에서, 감시하는 단계는, 전용 애플리케이션이 안전한 전자 토큰에서 제거될 때 자동으로 비활성화되는 특정 수단에 의해 수행될 수 있다.

하나의 실시예에서, 감시하는 단계는, 통신 인터페이스에서 수신된 제1 명령에 의해 활성화되고 및/또는 통신 인터페이스에서 수신된 제2 명령에 의해 비활성화되는 특정 수단에 의해 수행될 수 있다.

본 발명의 또 다른 목적은 외부 엔티티와 데이터를 교환하기 위한 통신 인터페이스를 포함하는 안전한 전자 토큰이다. 안전한 전자 토큰은, 안전한 전자 토큰을 만들어진 다음 발행되도록 의도되는 라이프사이클을 갖는다. 안전한 전자 토큰은 전용 애플리케이션을 로드 및 설치할 수 있고, 통신 인터페이스를 통해 교환된 데이터를 감시하도록 구성된 특정 수단을 포함한다. 특정 수단은, 전용 애플리케이션이 전자 토큰에 설치된 경우에만 전용 애플리케이션에 상기 교환된 데이터를 제공하도록 구성된다.

바람직하게는, 안전한 전자 토큰은 운영 체제를 포함할 수 있고, 이러한 운영 체제는 특정 수단을 포함할 수 있다.

하나의 실시예에서, 버퍼는 통신 인터페이스를 통해 교환된 데이터로부터 전용 애플리케이션에 의해 생성될 수 있고, 전용 애플리케이션은 외부 머신으로의 버퍼의 전송을 요청할 수 있는 익스포팅 수단을 포함할 수 있다.

바람직하게는, 전용 애플리케이션은, 버퍼가 프리셋 임계값에 도달했다는 것을 검출할 수 있는 체킹 수단을 포함할 수 있다.

하나의 실시예에서, 특정 수단은, 전용 애플리케이션이 안전한 전자 토큰에 로드되거나 설치될 때 자동으로 활성화될 수 있다.

하나의 실시예에서, 특정 수단은, 전용 애플리케이션이 안전한 전자 토큰에서 제거될 때 자동으로 비활성화될 수 있다.

바람직하게는, 특정 수단은 전용 애플리케이션의 프리셋 식별자를 포함할 수 있다.

하나의 실시예에서, 안전한 전자 토큰은 UICC 또는 SIM 특징을 포함하는 토큰일 수 있다.

본 발명의 다른 특성 및 장점은 대응하는 첨부된 도면을 참조하여 본 발명의 다수의 바람직한 실시예에 대한 다음의 설명을 읽으면 더 명확하게 드러날 것이다.
- 도 1은 본 발명에 따른 안전한 전자 토큰을 포함하는 호스트 머신 및 원격 머신을 포함하는 시스템의 예이다.
- 도 2는 본 발명에 따른 안전한 전자 토큰의 아키텍처를 개략적으로 도시한다.
- 도 3은 본 발명에 따라 생성된 안전한 전자 토큰에 의해 수신된 커플 명령들/응답들의 리스트 및 대응하는 로그의 예를 도시한다.

본 발명은 통신 채널에 의하여 원격 머신(distant machine)과 데이터를 교환할 수 있는 임의의 유형들의 안전한 전자 토큰에 적용될 수 있다. 특히, 안전한 전자 토큰은 UICC(Universal Integrated Circuit Card), SIM 카드, 또는 원격 머신과 안전한 전자 토큰 사이에 통신 채널을 구축하기 위한 수단을 제공하는 무선 디바이스에 접속된 M2M(Machine-To-Machine) 토큰일 수 있다. 이러한 사양의 예에서, 안전한 전자 토큰은 SIM 카드이지만, 비휘발성 메모리 및 원격 머신과 데이터를 교환하기 위한 수단 둘 다를 포함하는 임의의 다른 종류의 안전한 전자 토큰일 수 있다. 토큰은 또한 UICC 카드 또는 개인용 컴퓨터에 접속된 USB 토큰일 수 있다.

본 발명은 토큰에 의해 수신된/전송된 데이터를 감시할 수 있는 감시 수단과 커스터마이즈된 애플리케이션의 조합에 의존한다. 감시 수단은 토큰에 의해 수신되는 모든 데이터를 커스터마이즈된 애플리케이션에 제공할 수 있다. 커스터마이즈된 애플리케이션은 특정한 이슈를 타겟으로 하는 특정 유형의 분석에 따라 개발된다. 커스터마이즈된 애플리케이션은 제1 수단에 의해 제공된 데이터의 서브셋을 선택하도록 구성된다. 따라서, 단지 분석에 관련 있는 데이터만 토큰에 저장되고 추가 분석을 위해 외부 머신으로 전송된다.

본 발명은 텔레콤 도메인 및 M2M 도메인에서 사용되도록 의도된 안전한 전자 토큰에 특히 더 적합하다. 본 발명의 장점은 접속된 호스트 머신으로부터 토큰의 추출을 요구하지 않고 토큰 분석을 허용하는 것이다. 본 발명 덕분에, 토큰에 대한 어떠한 물리적인 액세스도 요구되지 않는다.

본 발명은, 필드에 배치된 토큰에서 이슈가 발생할 때, 루트 디폴트를 결정하는 것을 허용한다. 특히, 본 발명은, 주요 이슈가 토큰 자체에서 기원하는지 또는 배치된 인프라스트럭처 및 애플리케이션에 의한 토큰의 사용에서 기원하는지를 체크하는 방법을 제공한다.

도 1은 본 발명에 따른 원격 머신(distant machine)(EM) 및 안전한 전자 토큰(SC)을 포함하는 호스트 머신(HM)의 일례를 도시한다.

원격 머신(EM)은 또한 외부 머신이나 리모트 머신(remote machine)으로 불린다. 원격 머신(EM)은 호스트 머신(HM)을 통해 안전한 전자 토큰(SC)과 데이터를 교환할 수 있는 서버일 수 있다. 호스트 머신(HM)은 휴대 전화, 또는 안전한 전자 토큰에 접속할 수 있고 원격 머신(EM)과 통신할 수 있는 임의의 디바이스일 수 있다. 이러한 예에서, 안전한 전자 토큰(SC)은 SIM 카드이다. 원격 머신(EM)은, GSM 03.40, GSM 03.48 및/또는 ETSI/SCP - 3GPP - 3GPP2 표준에 의해 정의된 오버 디 에어 메커니즘(Over The Air mechanism) - OTA로 알려짐 - 일 수 있는 무선 채널 덕분에 토큰(SC)과 데이터를 교환할 수 있다. 원격 머신(EM)과 토큰(SC) 사이의 리모트 접속은 SMS(Short Message Service) 또는 BIP(Bearer Independent Protocol)을 전달자(bearer)로서 사용할 수 있다.

원격 머신(EM)은 MNO(mobile network operator)의 소재 인프라스트럭처(material infrastructure)에 속할 수 있다. 소재 인프라스트럭처는 MNO의 모바일 네트워크이다. 이러한 인프라스트럭처는 필드에서 SIM 스마트 카드와 데이터를 교환하는 것을 허용한다.

대안적으로, 원격 머신(EM)은 네트워크 채널에 의하여, 특히, 인터넷 또는 임의의 유선 링크를 통해 데이터를 교환할 수 있는 서버일 수 있다. 이러한 경우, 호스트 머신(HM)은 유선 링크를 허용하는 통신 수단을 가질 수 있다.

대안적으로, 호스트 머신(HM)은 M2M 디바이스 박스, 개인용 컴퓨터, 지불 단말기 또는 원격 머신(EM)과 통신 채널을 구축하는 것을 허용하는 임의의 머신일 수 있다.

호스트 머신(HM)은 접속된 토큰(SC)과의 통신을 허용하는 통신 인터페이스(IN2)를 포함한다. 토큰(SC)은 호스트 머신(HM)에 접속하도록 의도된 통신 인터페이스(INT)를 포함한다. 토큰(SC)은 운영 체제(OS)를 포함한다. 이러한 운영 체제(OS)는, 통신 인터페이스(INT)를 통해 교환된 데이터를 감시하도록 구성되는 특정 수단(M1)을 포함한다.

토큰(SC)은 토큰의 발행시에 존재하지 않는 전용 애플리케이션(DR)을 포함하도록 의도된다. 전용 애플리케이션(DR)은 토큰(SC)에 저장되어 있는 버퍼(LO)를 생성할 수 있다. 전용 애플리케이션(DR)은, 외부 머신(EM)으로의 버퍼(LO) 내용(content)의 전송을 요청할 수 있는 익스포팅 수단(M2)을 포함한다. 전용 애플리케이션(DR)은 버퍼(LO) 내용의 크기가 프리셋 임계값에 도달했다는 것을 검출할 수 있는 체킹 수단(M3)을 포함한다. 바람직한 실시예에서, 익스포팅 수단(M2)은 체킹 수단(M3)에 의해 트리거된다. 대안적으로, 익스포팅 수단(M2)은 임의의 프리셋 이벤트에 의해 트리거될 수 있다. 이러한 프리셋 이벤트는, 프리셋 기간(preset duration), 버퍼에 저장된 다수의 명령, 인터페이스(INT)에서 감시된 명령들의 미리 정의된 조합 또는 임의의 관련 있는 특정한 이벤트들일 수 있다.

특정 수단(M1)은, 전용 애플리케이션(DR)이 전자 토큰(SC)에서 활성화되는 경우에만 통신 인터페이스(INT)를 통해 교환된 모든 데이터를 전용 애플리케이션(DR)에 제공하도록 구성된다. 특정 수단(M1)은 통신 인터페이스를 통해 직접 또는 토큰의 운영 체제를 통해 교환된 데이터를 감시할 수 있다.

특정 수단(M1)은 전용 애플리케이션(DR)에 원시 감시된 데이터(raw spied data)를 전송한다. 특정 수단(M1)은 감시된 데이터를 소트(sort)하지 않는다.

도 1 및 도 2는 점선으로 그려진 여러 요소들을 포함한다. 이러한 요소들은 토큰(SC)의 발행 이후에 만들어진다.

도 2는 본 발명의 바람직한 실시예에 따른 안전한 전자 토큰의 일례로서 SIM 카드의 아키텍처에 대한 일례를 도시한다. SIM 카드(SC)는 마이크로프로세서(MP), 통신 인터페이스(INT), 비휘발성 메모리(MEM), 및 작업 메모리(WM)를 포함한다. 작업 메모리는 RAM일 수 있다. 통신 인터페이스(INT)는 호스트 머신에 접속하도록 의도되고, 접속된 호스트 머신과의 데이터 교환을 허용한다.

바람직한 실시예에서, 접속된 호스트 머신은 휴대 전화이다.

메모리(MEM)는 EEPROM 또는 플래시 메모리일 수 있다. 메모리(MEM)는 운영 체제(OS) 및 임계값(TH)을 포함한다. 운영 체제는, 전용 애플리케이션(DR)이 SIM 카드(SC)에서 활성화되는 경우에만 통신 인터페이스(INT)를 통해 교환된 모든 데이터를 전용 애플리케이션(DR)에 제공하도록 구성되는 특정 수단(M1)을 포함한다. 특정 수단(M1)은 식별자(ID1)를 포함한다. 식별자(ID1)는 토큰(SC)에 설치되도록 의도되는 전용 애플리케이션(DR)에 도달하는 것을 허용한다.

메모리(MEM)는 전용 애플리케이션(DR) 및 버퍼(LO)를 포함하도록 의도된다.

전용 애플리케이션(DR)은 버퍼(LO)에 데이터를 저장할 수 있다. 바람직한 실시예에서, 버퍼(LO)는 순차적 방식으로 채워진다. 따라서, 이벤트들의 연대순이 버퍼(LO)에서 유지된다.

도 2의 예에서, 전용 애플리케이션(DR)은 익스포팅 수단(M2) 및 체킹 수단(M3)을 포함한다.

익스포팅 수단(M2)은 리모트 머신(EM)에 버퍼(LO)의 내용을 전송할 수 있다.

체킹 수단(M3)은 버퍼(LO)에 저장된 데이터의 양이 프리셋 임계값(TH)에 도달했다는 것을 검출할 수 있다. 예를 들어, 수단(M3)은 버퍼(LO)가 가득 찼다는 것을 검출할 수 있다.

도 2의 예에서, 토큰은, 특정 수단(M1)을 활성화 및/또는 비활성화할 수 있는 수단(M4)을 포함한다. 바람직한 실시예에서, 운영 체제(OS)는 수단(M4)을 포함한다.

도 2의 예에서, 메모리(MEM)는 고유의 비휘발성 메모리로서 구현된다. 메모리(MEM)는 또한 상이한 유형들의 여러 비휘발성 메모리들의 임의의 조합으로서 구현될 수 있다.

대안적으로, 버퍼(LO)는 휘발성 메모리에 저장될 수 있다. 예를 들어, 버퍼(LO)는 RAM에 저장될 수 있다. 이러한 경우에, 버퍼 내용이 분실되기 전에 전송하도록 신경써야 한다.

운영 체제(OS)는 가상 머신, 구체적으로, 자바® 가상 머신 또는 .NET® 가상 머신을 포함할 수 있다.

마이크로프로세서(MP)는 작업 메모리(WM)와 협력하여 운영 체제(OS)를 실행하도록 의도된다. 두 개의 수단(M1 및 M4)은 마이크로프로세서(MP)에 의해 실행된 소프트웨어 애플리케이션들이나 설계된 하드웨어 중 어느 하나일 수 있다. 이들 두 개의 수단은 두 개의 별개의 요소로서 구현되거나 하나 또는 여러 요소들에 병합될 수 있다.

본 발명에 따르면, 보안 토큰(SC)의 동작을 분석하는 방법에 대한 실시예의 일례는 여러 단계를 포함한다.

먼저, 안전한 전자 토큰(SC)이 구축된다. 그 다음, 토큰(SC)이 발행된다. 그 다음, 토큰(SC)이 호스트 머신(예컨대, SIM 카드인 경우에 통신 핸드셋)에 접속된다. 이때, 토큰(SC)은 활성화되지 않은 특정 수단(M1)을 포함한다. 토큰(SC)은 정상적으로 사용될 수 있다.

토큰(SC)을 사용할 때 특정한 오류가 발생하면, 전용 애플리케이션(DR)이 개발되어야 한다. 전용 애플리케이션(DR)은 타겟이 된 특정한 오류에 따라 만들어져야 한다. 전용 애플리케이션(DR)은 버퍼(LO)에 저장되는 선택적 로그를 생성하도록 설계되어야 한다. 예를 들어, 전용 애플리케이션(DR)은 단지 터미널 프로파일 명령들만을 저장할 수 있다. 또 다른 예에서, 전용 애플리케이션(DR)은 단지 지불 거래(payment transactions)와 관련된 명령들만을 저장할 수 있다. 또 다른 예에서, 전용 애플리케이션(DR)은 단지 토큰에 내장된 소정의 애플리케이션과 관련된 명령들만을 기록할 수 있다. (토큰은 복수의 상이한 애플리케이션들을 내장한다고 가정함)

그 다음, 전용 애플리케이션(DR)은 토큰(SC)으로 다운로드된다. 전용 애플리케이션(DR)은 그 다음에 설치된다. 그 시점에서는, 전용 애플리케이션(DR)이 활성화 상태에 있다. 바람직한 실시예에서, 전용 애플리케이션(DR)이 설치되면 호스트 머신(HM)의 수단(M4)은 자동으로 수단(M1)을 활성화한다.

이제, 통신 인터페이스(INT)를 통해 토큰(SC)과 호스트 머신(HM) 사이에 교환된 모든 데이터는 수단(M1)에 의해 전용 애플리케이션(DR)으로 전달된다. 이러한 전달된 데이터는 감시된 데이터로도 불린다. 전용 애플리케이션(DR)은 타겟이 된 감시된 데이터를 선택하고 타겟이 된 감시된 데이터의 서브셋을 생성한다. 타겟이 된 감시된 데이터는 추적된 데이터로도 불린다. 전용 애플리케이션(DR)은 이러한 서브셋을 버퍼(LO)에 저장한다.

감시된 데이터의 서브셋은 전체 감시된 데이터 중 일부를 유지함으로써 생성된다. 서브셋은 데이터의 유형, 데이터의 값, 데이터의 수신자 또는 데이터의 발행자에 따라 데이터를 선택함으로써 생성될 수 있다. 바람직하게는, 서브셋은 날짜/시간에 따라 또는 토큰에서 활성화된 애플리케이션의 유형에 따라 데이터를 선택함으로써 생성될 수 있다. 하나의 실시예에서, 전용 애플리케이션(DR)은 단지 소정의 리스트에 속하는 명령만 유지할 수 있다. 또 다른 예에서, 전용 애플리케이션(DR)은 단지 발신 데이터만(또는 착신 데이터만) 유지할 수 있다. 또 다른 예에서, 전용 애플리케이션(DR)은 토큰에 내장된 타겟이 된 애플리케이션과 관련된 데이터를 유지할 수 있다. 또 다른 예에서, 전용 애플리케이션(DR)은 단지 특정 애플리케이션 서버에서 오거나 그로 가는 데이터만을 유지할 수 있다. 또 다른 예에서, 전용 애플리케이션(DR)은 토큰에 접속된 호스트 머신을 떠나지 않는 데이터를 유지할 수 있다. 다시 말해, 전용 애플리케이션(DR)은 단지 호스트 머신에 의해 생성되거나 그의 내부 사용을 위해 호스트 머신에 의해 수신되는 데이터만을 유지할 수 있다.

도 3은 수단(M1)에 의해 감시되는 7개의 명령/응답 세트(ED)의 일례를 도시한다. 도 3에 도시되는 바와 같이, 전용 애플리케이션(DR)은 버퍼(LO)에 기록되는 네 개의 명령/응답의 서브셋(SU)을 생성한다. 더 정확하게는, 수단(M1)은 전용 애플리케이션(DR)에 제1 명령(CD1)과 그의 대응하는 응답(RE1), 제2 명령(CD2)과 그의 대응하는 응답(RE2), CD3/RE3, CD4/RE4, CD5/RE5, CD6/RE6 및 제7 명령(CD7)과 그의 대응하는 응답(RE7)을 전송한다. 전용 애플리케이션(DR)은 그의 내부 기준에 따라 명령/응답 CD2/RE2, CD3/RE3, CD5/RE5 및 CD7/RE7의 서브셋(SU)을 선택한다. 전용 애플리케이션(DR)은 이러한 서브셋(SU)을 버퍼(LO)에 저장한다.

예를 들어, 선택된 명령들은 RunGSMAlgo, Authenticate, UpdateFile, 또는 Envelope와 같은 STK(SIM Tool Kit)일 수 있다.

또 다른 예에서, 선택된 데이터는 "Display Text" 및 "Send SMS"와 같이 SIM에 의해 핸드셋으로 전송된 프로액티브 명령들일 수 있다. 선택된 데이터는 또한 "Call connected" 및 "Location change"와 같이 핸드셋에 의해 SIM으로 전송된 이벤트들일 수 있다.

또 다른 예에서, 선택된 데이터는 뱅킹 도메인에서 사용되는 명령들의 세트일 수 있다. 예를 들어, 선택된 데이터는 "GenerateAC", "GetProcessingOptions", "ChangePIN" 및 "UnblockPIN"과 같은 EMV 명령들일 수 있다.

정기적으로, 전용 애플리케이션(DR)의 체킹 수단(M3)은 버퍼(LO) 내용의 크기를 확인한다. 버퍼(LO)에 저장된 데이터의 양이 프리셋 임계값(TH)에 도달하면, 익스포팅 수단(M2)이 트리거된다. 익스포팅 수단(M2)은 미리 정의된 리모트 머신(EM)으로의 버퍼(LO) 내용의 전송을 개시한다. 예를 들어, 익스포팅 수단(M3)은 외부 머신(EM)에 버퍼(LO) 내용을 전송하도록 운영 체제(OS)에 요청할 수 있다. 토큰이 UICC 또는 SIM 카드일 때 버퍼 전송은 SMS 메커니즘을 통해 수행될 수 있다. 전용 애플리케이션(DR)에 의해 개시된 이러한 전송은 당업자로부터 잘 알려져 있다. 버퍼(LO) 내용은 접속된 호스트 머신(HM)을 통해 리모트 머신(EM)으로 전송된다.

바람직하게는, 원격 머신(EM)은 버퍼 전송을 관리하기 위해 사용되는 임계값(TH)의 업데이트를 요청할 수 있다.

하나의 실시예에서, 버퍼(LO)는, 버퍼에 저장된 데이터의 양이 적어도 1000 바이트인 경우에 전송될 수 있다. 이러한 임계량은 토큰에서 사용가능한 자유 공간에 따라 달라질 수 있다. 바람직하게는, 임계량은 전용 명령으로 조정가능할 수 있다. 또 다른 예에 따르면, 버퍼(LO)는, 버퍼가 80% 가득 찰 때 전송될 수 있다. 대안적으로, 버퍼(LO)에 로그된 명령들의 수가 프리셋 임계값에 도달할 때 버퍼 전송은 자동으로 시작될 수 있다. 예를 들어, 버퍼가 적어도 100 또는 500 추적된 데이터를 포함하는 경우에 버퍼 내용이 전송될 수 있다.

리모트 머신(EM)이 버퍼(LO)에서 오는 데이터를 충분히 수신하는 경우, 전용 애플리케이션(DR)을 중단하기 위해 토큰(SC)으로 특정 명령이 전송될 수 있다. 이러한 중단 단계는 특정 수단(M1)을 비활성화하거나 그와 같이 전용 애플리케이션(DR)을 비활성화함으로써 수행될 수 있다.

특정 수단(M1)의 비활성화는 또한 특정 수단(M1)을 비활성화할 수 있는 수단(M4) 덕분에 수행될 수 있다.

대안적으로, 이러한 중단 단계는 토큰(SC)에서 전용 애플리케이션(DR)을 삭제(uninstalling)하거나 제거(removing)함으로써 수행될 수 있다.

하나의 실시예에서, 특정 수단(M1)은 전용 애플리케이션(DR)의 식별자(ID1)를 포함한다. 따라서, 특정 수단(M1)은 전용 애플리케이션(DR)에 액세스하기 위해 식별자(ID1)를 사용한다. 바람직하게는, 식별자(ID1)는 프리셋 값을 가질 수 있다.

기본적으로, 교환된 데이터의 감시가 자동으로 활성화될 수 있다. 다시 말해, 특정 수단(M1)에 의한 감시된 데이터의 전송은, 전용 애플리케이션(DR)이 전자 토큰(SC)에서 활성화될 때 자동으로 시작된다.

전용 애플리케이션(DR)은 필드에 있는 하나 또는 여러 토큰으로 다운로드될 수 있다.

바람직하게는, 전용 애플리케이션(DR)은 선택 규칙들을 포함하도록 설계될 수 있다. 선택 규칙들은 타겟이 된 이슈 분석에 관련 있는 감시된 데이터를 선택한다(또는 선택하지 않는다). 토큰 애플리케이션의 당업자는 그러한 선택 규칙들을 설계할 수 있다.

바람직하게는, 전용 애플리케이션(DR)은 코딩 규칙들을 포함하도록 설계될 수 있다. 코딩 규칙들은, 변환된 데이터를 버퍼(LO)에 저장하기 전에, 선택된 감시된 데이터를 특정 구문(specific syntax)을 사용하여 변환하는 것을 목표로 한다. 이러한 코딩 규칙들은 또한 선택된 감시된 데이터로부터의 정보의 특정한 피스들을 추출할 수 있다. 따라서, 이러한 코딩 규칙들은 버퍼에 데이터를 저장하기 위해 요구되는 메모리 크기를 감소시키는 것을 허용한다. 이러한 코딩 규칙들은 단지 선택된 감시된 데이터에 속하는 필수 요소들만 유지하도록 허용할 수 있다. 예를 들어, 선택된 감시된 데이터가 APDU 명령일 때, 헤더는 1-바이트 식별자로 대체될 수 있다. 따라서, ISO7816 표준에 의해 정의된 바와 같이, 헤더의 4 바이트가 단일 바이트로 대체된다. 토큰 애플리케이션의 당업자는 그러한 코딩 규칙들을 설계할 수 있다.

바람직하게는, 버퍼(LO)의 내용이, 데이터의 저장 전이나 버퍼 내용의 전송 전에 압축될 수 있다.

바람직하게는, 리모트 머신(EM)은 버퍼 전송을 관리하기 위해 사용되는 임계값(TH)의 업데이트를 요청할 수 있다.

버퍼 내용은 푸시(push) 또는 풀(pull) 모드 중 어느 하나로 리모트 머신(EM)에 의해 얻어질 수 있다. 특정 명령은 버퍼 전송을 요청하기 위해 사용될 수 있다. 다시 말해, 토큰(SC)이 버퍼 내용을 원격 서버(EM)로 전송하도록 결정할 수도 있고, 또는 원격 서버(EM)가 토큰(SC)으로부터 버퍼 내용을 요청할 수도 있다. 이러한 마지막 경우에, 익스포팅 수단(M2)은 임계값에 따라 버퍼 내용을 전송하도록 결정할 수 있다.

대안적으로, 버퍼(LO)는 안전한 토큰의 각 부팅 단계에 전송될 수 있다.

리모트 머신(EM)이 버퍼(LO)에서 오는 데이터를 충분히 수신한 경우, 감시된 데이터의 분석이 수행될 수 있다. 분석은 자동으로 또는 수동으로 수행될 수 있다. 버퍼 내용의 분석은 토큰(SC)의 동작 및 용도를 결정하는 것을 목적으로 한다. 예를 들어, 토큰(SC)을 강조하는(stress) 동작들의 시퀀스는 버퍼(LO) 내용으로부터 검색될 수 있다.

바람직하게는, 버퍼(LO)의 분석은, 토큰이 최종 사용자에 의해 잘못 사용되고 있다는 결론을 내릴 수 있다. 이러한 경우에, 토큰의 최종 사용자 또는 임의의 관련 기관(authority)에 경고 메시지가 전송될 수 있다.

본 발명 덕분에, 어떠한 예측가능한 조합의 애플리케이션 명령들도 토큰에 전송되지 않는 경우에도, 안전한 토큰을 사용하는 애플리케이션들에 대한 깊은 분석에 착수하는 것이 가능하다. 일반적으로, 안전한 토큰을 사용하는 애플리케이션들은 토큰에 접속된 머신(HM)에 저장된다. 이렇게 접속된 머신(HM)은 무선 디바이스(BOX), 휴대 전화 또는 토큰과 데이터를 교환할 수 있는 임의의 컴퓨터일 수 있다.

바람직하게는, 버퍼 내용은 토큰으로 키에 의해 암호화될 수 있고, 원격 머신(EM)으로 해독될 수 있다. 비밀 키는 토큰 및 머신(EM) 모두에 의해 공유될 수 있다. 대안적으로, 토큰 및 머신(EM)은 공개 키/개인 키 쌍을 사용할 수 있다.

본 발명 덕분에, 안전한 전자 토큰 이슈의 근본 원인이 검색될 수 있다. 본 발명은 토큰의 보통의 실행에 수반된 임의의 디바이스들/머신들에서 기인하는 오류를 검출하는 것을 허용한다. 특히, 본 발명은, 비정상적인 네트워크 상호작용들에서 기인하는, 접속된 디바이스(예컨대, 휴대 전화 또는 무선 모듈 또는 토큰에 접속되도록 의도된 임의의 디바이스)의 비정상적인 동작에서 기인하는, (접속된 호스트 머신(HM)에서 또는 토큰 자체에서 실행하는) 애플리케이션들의 비정상적인 동작에서 기인하는, 최종 사용자의 비정상적인 동작에서 기인하는, 및 토큰 칩 품질에서 기인하는 이슈들을 식별하는 것을 허용한다.

바람직하게는, 배치된 토큰의 소정의 세트(given set)에서 단일 오류를 타겟으로 하는 여러 별도의 전용 애플리케이션들이 개발될 수 있다. 따라서, 여러 버퍼가 원격 머신(EM)에 의해 검색될 수 있고, 분석이 이러한 버퍼들을 크로스체크할 할 수 있다.

본 발명의 장점은 토큰과 접속된 호스트 머신 사이에서 교환된 데이터의 타겟이 된 유형에 정확하게 초점을 맞출 수 있는 유연한 솔루션을 제공하는 것이다.

본 발명 덕분에, 최종 사용자와의 어떠한 상호작용도 필요하지 않다.

본 발명은 M2M(Machine to Machine) 도메인에 전용인 안전한 전자 토큰에서 구현될 수 있다. M2M 도메인은 M2M 통신 서비스를 제공하기 위한 시스템에 통합되는 무선 모듈들을 사용한다. 무선 모듈들은 SIM 카드와 같은 안전한 전자 토큰을 포함할 수 있다. 본 발명은 자동차, 자동 자판기 및 음료 머신에 사용되는 M2M 토큰에서 구현될 수 있다.

토큰의 수명은 토큰에 내장된 비휘발성 메모리의 사용에 따라 달라질 수 있다. 안전한 전자 토큰의 향후 수명을 추정하기 위해, 미션 프로필이 토큰에 연관될 수 있다. 이러한 미션 프로필은 토큰의 향후 사용을 반영하도록 의도된다. 보통, 미션 프로필은 토큰에 의해 실행되는 것으로 가정되는 애플리케이션 명령들의 수를 추정하여 구축된다. 본 발명 덕분에, 토큰에 의해 수신된 명령들의 유형 및 수가 알려진다. 정보의 피스들을 알게 됨으로써, 토큰에 대해 추정된 수명을 계산하는 것이 가능할 수 있다. 이러한 계산은 명령의 각 유형의 처리(treatment)로 인한 메모리 소모(memory wear)를 고려한다. 예를 들어, 미션 프로필은, 3개의 "인증" 명령, 2개의 "파일 선택" 명령 및 4개의 "파일 업데이트" 명령이 매일 실행된다는 가정에 근거하는 것일 수 있다. 평가는 또한 월 단위 또는 연 단위로 계산될 수 있다. 토큰 발행자는 고정된 토큰 수명에 완료(commit)해야 할 수 있으므로 토큰 수명의 평가는 중요하다. 특히, 토큰 수명에 관련된 모든 이슈는 계약 보증(contractual guarantee)에 의해 처리될 수 있다.

본 발명은, 필드에 이미 배치된 토큰의 사용에 관한 정보를 얻도록 허용한다. 따라서, 토큰의 미션 프로필이 구축, 업데이트 또는 확인될 수 있다.

바람직하게는, 접속된 호스트 머신의 유형이나 식별자가 버퍼(LO)와 함께 리모트 머신(EM)에 전송될 수 있다.

본 발명은 또한 호스트 머신과 데이터를 교환하기 위한 무선 통신 인터페이스를 갖는 안전한 전자 토큰에 적용된다. 다시 말해, 토큰은 무선 통신 인터페이스를 통해 호스트 머신에 접속할 수 있다.

바람직하게는, 전용 애플리케이션(DR)의 실행은 인증, 키, 비밀 코드 등과 같은 보통의 보안 메커니즘 덕분에 안전할 수 있다.

Claims

안전한 전자 토큰(secure electronic token)의 동작을 분석하는 방법 - 상기 전자 토큰은 외부 엔티티와 데이터를 교환하기 위한 통신 인터페이스를 포함하고, 상기 전자 토큰은, 상기 전자 토큰이 만들어진 다음 발행되도록 의도되는 라이프사이클을 가짐 - 으로서,
a) 상기 전자 토큰에 전용 애플리케이션을 로드 및 설치하는 단계 - 상기 로드 및 설치하는 단계는 상기 전자 토큰이 발행된 후에 수행됨 - ,
b) 버퍼를 생성하는 단계,
c) 상기 버퍼를 외부 머신으로 전송하는 단계,
d) 상기 전자 토큰이 발행되었을 때 상기 전자 토큰에 이미 내장된 특정 수단에 의해 상기 통신 인터페이스를 통해 교환된 데이터 모두를 감시하고 상기 전용 애플리케이션에 상기 감시된 데이터를 제공하는 단계, 및
e) 상기 감시된 데이터의 사용 유형에 따라 상기 감시된 데이터로부터 상기 버퍼를 상기 전용 애플리케이션에 의해 생성하는 단계
를 포함하는, 안전한 전자 토큰의 동작을 분석하는 방법.
제1항에 있어서, 상기 방법은:
f) 상기 전자 토큰이 사용되는 방법을 결정하기 위해 상기 외부 머신에서 상기 버퍼를 분석하는 단계
를 포함하는, 안전한 전자 토큰의 동작을 분석하는 방법.
제1항 또는 제2항에 있어서, 상기 버퍼는 상기 교환된 데이터의 서브셋을 포함하는, 안전한 전자 토큰의 동작을 분석하는 방법.
제1항 또는 제2항에 있어서, 상기 버퍼를 전송하는 단계는, 상기 버퍼가 프리셋 임계값에 도달할 때 자동적으로 시작되는, 안전한 전자 토큰의 동작을 분석하는 방법.
제1항 또는 제2항에 있어서, 상기 특정 수단은, 상기 전용 애플리케이션이 상기 전자 토큰에 로드 또는 설치될 때 자동으로 활성화되는, 안전한 전자 토큰의 동작을 분석하는 방법.
제1항 또는 제2항에 있어서, 상기 특정 수단은, 상기 전용 애플리케이션이 상기 전자 토큰에서 제거될 때 자동으로 비활성화되는, 안전한 전자 토큰의 동작을 분석하는 방법.
제1항 또는 제2항에 있어서, 상기 특정 수단은 상기 통신 인터페이스에서 수신된 제1 명령에 의해 활성화되고 및/또는 상기 통신 인터페이스에서 수신된 제2 명령에 의해 비활성화되는, 안전한 전자 토큰의 동작을 분석하는 방법.
외부 엔티티와 데이터를 교환하기 위한 통신 인터페이스를 포함하는 안전한 전자 토큰 - 상기 전자 토큰은, 상기 전자 토큰이 만들어진 다음 발행되도록 의도되는 라이프사이클을 갖고, 상기 전자 토큰은 전용 애플리케이션을 로드 및 설치하도록 구성됨 - 으로서,
상기 전자 토큰이 발행되었을 때 상기 전자 토큰에 이미 내장된 특정 수단
을 포함하며,
상기 특정 수단은 상기 통신 인터페이스를 통해 교환된 데이터 모두를 감시하도록 구성되고, 상기 전용 애플리케이션이 상기 전자 토큰에 설치된 경우에만 상기 전용 애플리케이션에 상기 감시된 데이터를 제공하도록 구성되고, 상기 전용 애플리케이션은 상기 감시된 데이터의 사용 유형에 따라 상기 감시된 데이터로부터 버퍼를 생성하도록 구성되며, 상기 버퍼는 외부 머신으로 전송되도록 의도되는, 안전한 전자 토큰.
제8항에 있어서, 상기 전자 토큰은 운영 체제를 포함하고, 상기 운영 체제는 상기 특정 수단을 포함하는, 안전한 전자 토큰.
제8항 또는 제9항에 있어서, 상기 전용 애플리케이션은 외부 머신으로의 상기 버퍼의 전송을 요청하도록 구성된 익스포팅 수단(exporting means)을 포함하는, 안전한 전자 토큰.
제8항 또는 제9항에 있어서, 상기 전용 애플리케이션은, 상기 버퍼가 프리셋 임계값에 도달하는 것을 검출하도록 구성된 체킹 수단을 포함하는, 안전한 전자 토큰.
제8항 또는 제9항에 있어서, 상기 특정 수단은, 상기 전용 애플리케이션이 상기 전자 토큰에 로드 또는 설치될 때 자동으로 활성화되는, 안전한 전자 토큰.
제8항 또는 제9항에 있어서, 상기 특정 수단은, 상기 전용 애플리케이션이 상기 전자 토큰에서 제거될 때 자동으로 비활성화되는, 안전한 전자 토큰.
제8항 또는 제9항에 있어서, 상기 특정 수단은 상기 전용 애플리케이션의 프리셋 식별자를 포함하는, 안전한 전자 토큰.
제8항 또는 제9항에 있어서, 상기 안전한 전자 토큰은 UICC이거나 SIM 피쳐들을 포함하는 토큰 중 하나인, 안전한 전자 토큰.